GitHub lança modelo próprio para detectar segredos vazados e leva a checagem por IA ao push protection e ao Copilot

O GitHub agora tem um modelo de IA próprio só pra caçar senha e credencial vazada no seu código 👀

O anúncio saiu no GitHub Changelog em 7/10/2026, com o título "Purpose-built model for leaked secret detection"

A motivação, segundo o GitHub: a proteção de segredos precisa acompanhar o jeito como a gente desenvolve software hoje

Ou seja, vale tanto pra quem escreve o código na mão quanto pra quem trabalha com um agente de IA fazendo commit por aí

E o modelo novo entra em três frentes:

• alertas de secret scanning
• push protection
• revisões de segurança do GitHub Copilot, pelo comando /security-review

Bora ver o que muda em cada uma, quem pode usar e como fica a cobrança 🙂

Como funciona o modelo de detecção de segredos do GitHub

É um modelo ajustado (fine-tuned) pelo GitHub especificamente pra detectar segredos

Ele lê o código ao redor pra identificar o que provavelmente é uma credencial, inclusive senhas que não têm um formato de token reconhecível

Formação Recomendada

Formação Claude Code

Domine Claude Code do absoluto zero até o avançado

• 120 aulas
• 4 projetos
• 9h 45min

Conhecer formação

E um detalhe importante: ele não gera código nem texto, só faz a detecção

Mas por que isso importa?

Token de serviço geralmente tem um formato reconhecível, o que facilita achar por padrão

Já uma senha qualquer jogada numa variável não tem esse tipo de formato, ela parece só mais uma string no meio do código

É aí que entra o contexto: segundo o GitHub, o modelo lê o código ao redor pra decidir se aquilo é um segredo ou não

Alertas de segredos detectados por IA: o que muda para quem já tem GHSP ou GHAS

Se você já tinha alertas AI-detected Password, nada pra fazer: eles passaram automaticamente pro modelo novo

A partir de 7/10/2026, as varreduras existentes de alertas de segredos detectados por IA mudam sozinhas pro novo modelo

Sem custo extra pra clientes GHSP (GitHub Secret Protection) e GHAS (GitHub Advanced Security) 😀

Esses alertas continuam incluídos nas licenças e ficam separados das checagens novas que consomem créditos (falo delas já já)

E o GitHub Enterprise Server?

O modelo está planejado pros alertas detectados por IA no GHES 3.23, em public preview

Também vem incluído na compra de GHSP/GHAS, sem custo extra

Porém, se liga: o push protection com IA e o comando /security-review do Copilot não fazem parte dessa versão do Server

Push protection com IA: o que faz, quem pode usar e como é cobrado

Aqui é onde a coisa fica mais interessante

O push protection com IA procura credenciais não estruturadas no momento do push

Na prática, você ganha a chance de tirar o segredo ANTES de ele entrar no histórico do repositório

Quem já teve que reescrever histórico pra apagar uma senha commitada sabe o quanto isso vale haha

O recurso está em private preview

Quem pode usar o push protection com IA?

• clientes do GitHub Enterprise Cloud ou do GitHub Team que compraram GHSP ou GHAS
• repositórios públicos, privados e internos podem se qualificar
• no GHEC com residência de dados (ghe.com), o recurso está planejado com cobertura paga de GHSP/GHAS

O recurso é opt-in: um administrador precisa habilitar, conforme as políticas da organização ou do enterprise

Como é cobrado o push protection com IA?

Vai consumir GitHub AI Credits, cobrados da organização dona do repositório

E tome cuidado com esse detalhe: uma checagem pode consumir créditos mesmo quando não bloqueia o push

Ou seja, não dá pra contar que só vai gastar crédito quando o push for barrado

O uso aparece como consumo de AI Credits no SKU Secret Protection AI Credits, dentro do AI usage insights

A exceção dos usuários EMU

Fora da exceção dos repositórios no namespace de usuário de enterprise-managed users (EMU), o custo vai pra organização e não sai dos créditos alocados a nenhum usuário específico

Nesses repositórios no namespace EMU, o uso é atribuído a quem fez o push e sai dos créditos alocados a esse usuário

Checagem de segredos no /security-review do Copilot CLI e do app

Primeiro, o que já existe hoje

Numa sessão compatível do Copilot CLI ou do app do Copilot, você roda /security-review antes de fazer commit, push ou pedir revisão de pull request

Ele analisa as mudanças ativas em busca de vulnerabilidades e devolve achados priorizados, com sugestões de correção

A revisão é somente leitura, e valem as políticas e a cobrança atuais do Copilot

O que vem de novo no /security-review?

As checagens do classificador de segredos vão rodar junto da revisão que já existe, baseada em LLM

Isso ainda não está disponível: chega "em breve" em private preview, sem data

E não exige licença GHSP nem GHAS, o que é bem massa pra quem programa sozinho

São elegíveis:

• planos individuais do Copilot: Pro, Pro+, Max, Free e Student, sujeitos a controles de acesso e ao consumo de créditos
• Copilot Business e Copilot Enterprise, nas plataformas compatíveis, sujeitos a convite e às políticas do administrador

Como é cobrada a checagem de segredos no /security-review?

Consome AI Credits ALÉM do uso que a revisão já tem

O gasto vai pra conta de cobrança do plano Copilot ativo

No AI usage insights, esse consumo aparece sob GHSP

Mas calma: isso é só a categoria onde o uso é listado, não um requisito de licença, a checagem continua sem exigir GHSP nem GHAS

E as checagens novas vêm desligadas por padrão

Rodar /security-review não liga nada sozinho: é preciso fazer opt-in onde o plano e as políticas permitirem

Resumo das três frentes

O que muda para equipes que usam agentes de IA para commit e push

Quem mais ganha aqui é o time que tem agente fazendo commit e push

Agente é rápido, mas não tem aquele frio na barriga de quem já vazou uma chave de API… ele simplesmente commita 😛

Com o push protection com IA, o segredo pode ser barrado antes de virar parte do histórico

E no /security-review, desenvolvedores e agentes de código podem usar o especialista de security-review embutido

O fluxo descrito pelo GitHub é:

1. rodar a revisão
2. corrigir os achados confirmados, com a autorização adequada
3. rodar a revisão de novo depois das correções

Tem um recado do GitHub que vale ouro pra quem dá autonomia pro agente

Segundo o GitHub, agentes não devem habilitar recursos que consomem créditos nem mudar políticas ou orçamentos sem autorização explícita

Ou seja, nada de deixar o agente ligar a checagem paga por conta própria 😅

Planos, licenças e assinaturas são coisas separadas

É fácil confundir, então se liga:

• planos de hospedagem do GitHub, licenças GHSP e assinaturas do Copilot são separados
• o GitHub Enterprise (GHE) inclui GHEC e GHES
• o Copilot Enterprise é uma assinatura separada do Copilot

E o ponto que mais pega: Copilot Business e Copilot Enterprise não substituem a licença GHSP exigida no push protection

Limitações e o que ainda não foi definido

Antes de sair empolgado, vale olhar o que ainda está em aberto

• as checagens pagas vêm desligadas e dependem de opt-in: de um administrador no push protection, e onde o plano e as políticas permitirem no /security-review
• push protection com IA e /security-review ficam de fora do GHES 3.23
• o uso de AI Credits por essas checagens será introduzido "nas próximas semanas", sem data exata
• a cobrança começa quando a organização (ou o usuário, no caso do /security-review) entra no public preview e habilita o recurso

Para quem está começando com Git e GitHub

Se commit, push e histórico de repositório ainda são meio nebulosos pra você, vale firmar essa base antes de mexer em push protection

Este curso do canal leva Git e GitHub do básico ao avançado, com projeto:

Próximo passo: revisar acesso e orçamento antes de ativar

Recapitulando: o GitHub passou a usar um modelo próprio, que lê o contexto do código pra achar credencial vazada, inclusive senha sem formato de token

Se você já tem GHSP ou GHAS, os alertas por IA já rodam com o modelo novo, sem custo extra

Se quiser as checagens novas no push protection ou no /security-review, o recado do próprio anúncio é revisar acesso e gasto antes de ligar

Ou seja: elegibilidade do plano, políticas da organização e orçamento de AI Credits

Pra acompanhar os valores de crédito e a data de início da cobrança, a referência é o changelog oficial do GitHub

E aí, vai liberar a checagem pro seu agente ou vai esperar ver quanto custa? 😀

até o próximo post!